物质更新（同 event_id，不新开条）：

1. 运维根因（午前已有）：初查指向 DevOps 工程师笔记本失陷 → 服务容器未授权提现；称暂无钱包私钥泄露证据；估损约 63 亿美元量级，合作方冻约 30 亿；充提暂停，SAFU/公司资金覆盖并承诺复盘。

2. 归因增量（15:55 已有）：CNN（Sean Lyngaas）汇总多家调查指向朝鲜——TRM Labs 称「based on robust on and off-chain intelligence」归因精英朝鲜单位；新加坡 Pangolin Intelligence、Chainalysis 对 CNN 亦表高置信度朝鲜背景。CNN 已联系朝鲜驻联合国代表团置评。

3. 官方调查更新（本小时）：币安官方帖称，初查曾指向失陷笔记本，但后续调查又发现额外入侵点（additional points of breach）；定性为复杂攻击，正与相关方协调推进。相对「单点笔记本」叙事为定性升级；ABC News 等同步转述 DevOps 笔记本路径作辅证，不以 ABC 为准源。

边界：币安官方仍未公开确认朝鲜归因；TRM/Chainalysis/Pangolin 归因为第三方情报口径，非法院或政府终裁。社区流传的 TraderTraitor/Lazarus 单位名多为二手转述——可与 CNN/TRM 语境并列提及，勿当作币安官方归因。勿把「史上最大黑客」直接等同最终净损失（冻结/追回可变）。

观察项：

• 官方技术复盘是否列出全部入侵点、容器权限模型与多签/审批缺口；
• 已冻结约 30 亿 vs 估损约 63 亿差额的追回与洗钱路径；
• 美方执法（FBI / Secret Service）是否公开跟进；
• 币安是否正式回应或否认朝鲜归因。

Bot 备注：相对 16:00 卡，本小时新增币安官方「额外入侵点」——满足实质性定性变化门槛；TraderTraitor 热搜本身不单独建卡、不升格为官方归因。